Dziś Trybunał Sprawiedliwości UE (TSUE) orzekł, że nieważna jest decyzja Komisji Europejskiej stwierdzająca, że Stany Zjednoczone zapewniają odpowiedni stopień ochrony danych osobowych.

Wyrok zapadł w sprawie C-362/14 wszczętej przez austriackiego aktywistę Maksa Schremsa.

Ten wyrok zmienia bardzo wiele w kwestii ochrony danych Europejczyków, którzy korzystają z e-usług amerykańskich gigantów. Po prostu teraz krajowe organy ochrony danych w UE nie muszą automatycznie zakładać, że dane przekazywane do USA są bezpieczne. Organy broniące naszej prywatności mogą uważnie badać amerykańskie firmy i mogą nawet zawiesić przekazywanie danych do USA. Teoretycznie w przyszłości firmy takie jak Facebook czy Google mogą być zmuszone do przechowywania danych Europejczyków w UE. 

O niniejszej sprawie przed Trybunałem mówiono już dwa tygodnie temu, kiedy to rzecznik generalny Trubunału wydał opinię zgodną z dzisiejszym wyrokiem. Niektóre gazety przesadzały i wypisywały, że Facebook i Twitter już nie mogą przekazywać danych do USA. To nie była prawda.

Dziś zapadł wyrok i rzeczywiście wiele może się zmienić, ale sam wyrok to jeszcze nie wszystko. Ten wyrok nie wprowadza zmian, tylko otwiera drogę do ich wprowadzenia. 

Safe Harbour - o co tu chodzi

Aby zrozumieć znaczenie dzisiejszego wyroku, należy wiedzieć czym jest program Safe Harbour. 

Prawo UE pozwala na przenoszenie danych obywateli za granicę, jeśli kraj docelowy spełnia pewne standardy ochrony danych. Stany Zjednoczone nie są uważane za kraj bezpieczny. Mimo to kilkanaście lat temu, po długich negocjacjach strona unijna uznała, że amerykańskie firmy będą traktowane jak zapewniające wysoki poziom ochrony, jeśli przystąpią do programu Safe Harbor. Amerykańskie firmy muszą zadeklarować, że będą przestrzegać określonych zasad i mogą dość swobodnie przesyłać dane z Europy do USA.

"Bezpieczna przystań" była krytykowana nie raz, ale po aferze Snowdena stało się całkiem jasne, że to nie jest wystarczające zabezpieczenie. Po prostu trudno uznać USA za "bezpieczną przystań" dla naszych danych. 

Max Schrems i sprawa C‑362/14

Teraz możemy przejść do sprawy, która rozegrała się przed Trybunałem. Austriacki aktywista Max Schrems wystąpił do sądu jako użytkownik Facebooka. Nie podobało mu się to, że jego dane są przekazywane do USA. Schrems wniósł skargę do irlandzkiego organu ochrony danych twierdząc, że w świetle informacji podanych do wiadomości przez Edwarda Snowdena, Stany Zjednoczone nie zapewniają żadnej rzeczywistej ochrony danych przed amerykańskimi władzami.

Organ irlandzki oddalił skargę powołując się na "Safe Harbour", czyli na decyzję Komisji Europejskiej z dnia 26 lipca 2000 r. W tej decyzji Komisja stwierdziła, że USA zapewniają odpowiedni stopień ochrony przekazywanych danych osobowych.

Komisja stwierdziła bezpieczeństwo, więc koniec gadania, ale... Schrems się nie poddawał. 

Sprawa trafiła najpierw do sądu High Court of Ireland. Ten postanowił ustalić, czy decyzja Komisji ma na celu uniemożliwienie krajowemu organowi nadzorczemu prowadzenia dochodzenia w sprawie skargi dotyczącej nieodpowiedniego stopnia ochrony i zawieszenia kwestionowanego przekazywania danych w stosownym przypadku. Następnie pytanie o tę sprawę trafiło do Trybunału Sprawiedliwości UE. Stąd wzięła się sprawa C‑362/14.

Co powiedział Trybunał?

Dwa tygodnie temu rzecznik generalny TSUE wydał opinię miażdżącą dla programu Safe Harbour. Stwierdził, że istnienie decyzji Komisji nie może zniweczyć ani nawet ograniczyć uprawnień, jakie przysługują krajowym organom nadzorczym. Rzecznik generalny stwierdził też, że Komisja nie posiada kompetencji do ograniczenia uprawnień krajowych organów nadzorczych.  

Dziś Trybunał Sprawiedliwości UE orzekł podobnie. Stwierdził nieważność decyzji Komisji o tym, że Stany Zjednoczone zapewniają odpowiedni stopień ochrony przekazywanych danych osobowych. 

Trybunał jest jedynym organem właściwym do stwierdzenia nieważności aktu Unii. Niemniej to krajowe organy nadzorcze w reakcji na skargi obywateli mogą zbadać, czy przekazanie danych do USA spełnia wymogi prawodawstwa UE. 

Trybunał orzekł także, że uregulowanie nieprzewidujące możliwości skorzystania przez jednostkę ze środków prawnych w celu uzyskania dostępu do dotyczących jej danych osobowych narusza zasadniczą istotę prawa podstawowego do skutecznej ochrony sądowej. 

- W następstwie wydania tego wyroku irlandzki organ nadzorczy jest zobowiązany do zbadania skargi M. Schremsa z wszelką wymaganą starannością i – po przeprowadzeniu dochodzenia – do wydania decyzji, czy należy zawiesić, na mocy dyrektywy, przekazywanie danych europejskich użytkowników Facebooka do USA z tego względu, że państwo to nie zapewnia odpowiedniego stopnia ochrony danych osobowych - czytamy w komunikacie TSUE.

Zwycięstwo polityczne

Fundacja Panoptykon zajmująca się problemami prywatności uważa, że nie należy się spodziewać radykalnych zmian w kwestii przekazywania danych za granicę. Fundacja podkreśla jednak polityczny wymiar tego wyroku. 

- Można go potraktować jako zapowiedź politycznych i prawnych obstrukcji w przekazywaniu danych, jeśli Amerykanie nie zdecydują się na wzmocnienie standardów ich ochrony, przynajmniej w sferze ich udostępniania organom publicznym. Będzie to miało znaczenie nie tylko dla trwających prac nad rozporządzeniem dotyczącym ochrony danych osobowych, które ma obowiązywać również firmy amerykańskie, ale przede wszystkim dla negocjacji umowy TTIP - czytamy na w komentarzu na stronie Fundacji. 

To efekt afery Snowdena

Na koniec warto podkreślić, że dokumenty ujawnione dawno temu przez Edwarda Snowdena były dość istotnym, właściwie podstawowym impulsem do wydania tego przełomowego wyroku. Możemy dzięki temu zauważyć jak pewne wydarzenia wpływają na rzeczywistość. Nie dzieje się to od razu, potrzeba czasu i uporu pewnych ludzi, ale poważne zmiany jednak mogą nastąpić. 

Opinie, reakcje 

Jeśli chcecie poznać dodatkowe opinie i reakcje na ten wyrok, zajrzyjcie do kolejnego tekstu pt. Opinie: Wyrok ws. Safe Harbour niczym przecinanie podmorskich kabli? Co na to polski GIODO?